Wysyłasz ofertę, klient jej nie dostaje. Znajduje się w spamie albo nie dociera wcale. To rzadko wina treści wiadomości — najczęściej domena nie potrafi udowodnić, że wiadomość naprawdę wysłał jej właściciel.

W jednym zdaniu: SPF mówi, kto może wysyłać w imieniu Twojej domeny, DKIM podpisuje wiadomość cyfrowo, a DMARC decyduje, co zrobić, gdy któryś z tych mechanizmów zawiedzie.

Trzy rekordy, trzy różne zadania

Porównanie SPF, DKIM i DMARC
MechanizmCo sprawdzaCo się psuje bez niego
SPFCzy serwer wysyłający jest na liście dozwolonych dla domenyKażdy może podszyć się pod Twój adres
DKIMCzy wiadomość ma poprawny podpis cyfrowy domenyBrak dowodu, że treść nie została zmieniona po drodze
DMARCCo zrobić, gdy SPF i DKIM nie przejdą, oraz gdzie wysłać raportNikt nie wie, kto podszywa się pod domenę

Najczęstsze błędy, które widzę w praktyce

  • Dwa rekordy SPF w jednej domenie. Standard dopuszcza jeden — dwa oznaczają błąd i odrzucenie weryfikacji.
  • Brak wpisu dla systemu do wysyłki. Newsletter, system rezerwacji albo formularz na stronie wysyłają z innego serwera, którego nikt nie dopisał.
  • DKIM włączony w panelu, ale bez rekordu w DNS. Podpis jest, tylko nie ma jak go zweryfikować.
  • DMARC ustawiony od razu na odrzucanie. Efekt: własne wiadomości przestają docierać, zanim ktokolwiek to zauważy.
  • Wysyłka z darmowego adresu w treści firmowej. Adres w polu nadawcy z innej domeny niż serwer wysyłający to klasyczny sygnał spamu.

Jak to poprawnie wdrożyć — kolejność ma znaczenie

1. Zbierz listę wszystkiego, co wysyła pocztę

Serwer poczty, system CRM, sklep, formularz kontaktowy, program do faktur, narzędzie do newslettera. Każde z nich musi być uwzględnione, inaczej po włączeniu ochrony zacznie znikać w spamie.

2. Ustaw jeden poprawny rekord SPF

Jeden wpis TXT obejmujący wszystkie źródła wysyłki. Uważaj na limit dziesięciu odwołań DNS — przy kilku usługach łatwo go przekroczyć, a wtedy weryfikacja zwraca błąd.

3. Włącz DKIM w panelu dostawcy i dodaj klucz do DNS

Microsoft 365 i Google Workspace generują klucz w panelu administracyjnym. Rekord trzeba dopisać u operatora domeny — bez tego kroku podpisywanie nie działa.

4. Wprowadzaj DMARC etapami

Zacznij od polityki obserwacyjnej z adresem na raporty. Przez kilka tygodni zobaczysz, kto wysyła w imieniu domeny — także systemy, o których zapomniałeś. Dopiero potem przechodzisz na kwarantannę, a na końcu na odrzucanie.

Nie skracaj tej drogi. Ustawienie najostrzejszej polityki pierwszego dnia jest najczęstszą przyczyną sytuacji, w której firma przez tydzień nie wie, że jej faktury nie docierają do klientów.

Co jeszcze wpływa na dostarczalność

  • Reputacja domeny i adresu IP — nowa domena wysyłająca nagle setki wiadomości wygląda podejrzanie.
  • Jakość listy odbiorców — wysyłka na nieistniejące adresy szybko psuje reputację.
  • Zgodność nadawcy — adres w polu „od” powinien należeć do domeny, która przechodzi weryfikację.
  • Treść — same wielkie litery, mnóstwo linków i załącznik ZIP to klasyczne sygnały ostrzegawcze.
  • Możliwość wypisania się przy wysyłce masowej — jej brak jest traktowany jako naruszenie.

Szybki test na dziś

Wyślij wiadomość na swój prywatny adres w innej usłudze i sprawdź szczegóły nagłówków. Powinny pojawić się trzy potwierdzenia: SPF, DKIM i DMARC. Jeśli którekolwiek pokazuje błąd lub brak, wiesz już, gdzie zacząć.

Poprawna konfiguracja poczty to jednorazowa praca, która ratuje umowy i faktury przed folderem ze spamem. Jeśli chcesz mieć to sprawdzone i uporządkowane razem z kontami, zobacz zakres usługi Microsoft 365, Google Workspace i KSeF.